Spolo\u010dnos\u0165 Microsoft publikovala aktualiz\u00e1ciu distrib\u00facie CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), ktor\u00e1 sa vyv\u00edja ako univerz\u00e1lna z\u00e1kladn\u00e1 platforma pre Linuxov\u00e9 prostredia pou\u017e\u00edvan\u00e9 v cloudovej infra\u0161trukt\u00fare, edge syst\u00e9moch a r\u00f4znych slu\u017eb\u00e1ch Microsoftu. Projekt je zameran\u00fd na unifik\u00e1ciu pou\u017e\u00edvan\u00fdch Linuxov\u00fdch rie\u0161en\u00ed v Microsoft a zjednodu\u0161enie udr\u017eiavania Linuxov\u00fdch syst\u00e9mov r\u00f4zneho zamerania v aktu\u00e1lnom stave. V\u00fdsledky projektu s\u00fa distribuovan\u00e9 pod licenciou MIT. <\/p>\n
V novom vydan\u00ed: <\/p>\n
Pripom\u00edname, \u017ee distrib\u00facia CBL-Mariner poskytuje mal\u00fd \u0161tandardn\u00fd s\u00fabor z\u00e1kladn\u00fdch bal\u00edkov, ktor\u00ed sl\u00fa\u017eia ako univerz\u00e1lny z\u00e1klad na vytv\u00e1ranie kontajnerov, hostite\u013esk\u00fdch prostred\u00ed a slu\u017eieb, ktor\u00e9 be\u017eia v cloudov\u00fdch infra\u0161trukt\u00farach a na edge zariadeniach. Zlo\u017eitej\u0161ie a \u0161pecializovan\u00e9 rie\u0161enia m\u00f4\u017eu by\u0165 vytvoren\u00e9 pridan\u00edm \u010fal\u0161\u00edch bal\u00edkov nad CBL-Mariner, no z\u00e1klad pre v\u0161etky tak\u00e9to syst\u00e9my zost\u00e1va nemenn\u00fd, \u010do zjednodu\u0161uje \u00fadr\u017ebu a pr\u00edpravu aktualiz\u00e1ci\u00ed. Napr\u00edklad, CBL-Mariner sa pou\u017e\u00edva ako z\u00e1klad pre mini-distro WSLg, ktor\u00e9 poskytuje komponenty grafick\u00e9ho stacku na sp\u00fa\u0161\u0165anie GUI aplik\u00e1ci\u00ed Linuxu v prostrediach zalo\u017een\u00fdch na subsyst\u00e9mu WSL2 (Windows Subsystem for Linux). Roz\u0161\u00edren\u00e1 funkcionalita v WSLg je implementovan\u00e1 prostredn\u00edctvom zapojenia \u010fal\u0161\u00edch bal\u00edkov s kompozitom serverom<\/a> Weston, XWayland, PulseAudio a FreeRDP. <\/p>\n Syst\u00e9m zostavovania CBL-Mariner umo\u017e\u0148uje generova\u0165 bu\u010f samostatn\u00e9 RPM bal\u00edky na z\u00e1klade SPEC s\u00faborov a zdrojov\u00fdch textov, alebo monolitn\u00e9 syst\u00e9mov\u00e9 obrazy, ktor\u00e9 sa vytv\u00e1raj\u00fa pomocou n\u00e1stroja rpm-ostree a aktualizuj\u00fa sa atomicky bez rozdelenia na samostatn\u00e9 bal\u00edky. Podporuj\u00fa sa tak dve modely dod\u00e1vania aktualiz\u00e1ci\u00ed: prostredn\u00edctvom aktualiz\u00e1cie jednotliv\u00fdch bal\u00edkov a prostredn\u00edctvom prestavby a aktualiz\u00e1cie cel\u00e9ho syst\u00e9mov\u00e9ho obrazu. K dispoz\u00edcii je repozit\u00e1r, ktor\u00fd obsahuje pribli\u017ene 3000 u\u017e zostaven\u00fdch RPM bal\u00edkov, ktor\u00fd je mo\u017en\u00e9 vyu\u017ei\u0165 na zostavenie vlastn\u00fdch obrazov na z\u00e1klade konfigura\u010dn\u00e9ho s\u00faboru. <\/p>\n Distrib\u00facia obsahuje iba najnevyhnutnej\u0161ie komponenty a je optimalizovan\u00e1 pre minim\u00e1lnu spotrebu pam\u00e4te a diskov\u00e9ho priestoru, ako aj pre vysok\u00fa r\u00fdchlos\u0165 na\u010d\u00edtania. Distrib\u00facia sa tie\u017e vyzna\u010duje zahrnut\u00edm r\u00f4znych doplnkov\u00fdch mechanizmov na zvy\u0161ovanie ochrany. V projekte sa uplat\u0148uje pr\u00edstup \u201emaxim\u00e1lna bezpe\u010dnos\u0165 predvolene\u201c. Poskytuje sa mo\u017enos\u0165 filtr\u00e1cie syst\u00e9mov\u00fdch volan\u00ed pomocou mechanizmu seccomp, \u0161ifrovania diskov\u00fdch oddielov a overovania bal\u00edkov prostredn\u00edctvom digit\u00e1lneho podpisu. <\/p>\n S\u00fa aktivovan\u00e9 podporovan\u00e9 v jadre Linux re\u017eimy randomiz\u00e1cie adresn\u00e9ho priestoru, ako aj mechanizmy ochrany proti \u00fatokom s\u00favisiacim so symbolick\u00fdmi odkazmi, mmap, \/dev\/mem a \/dev\/kmem. Pre oblasti pam\u00e4te, v ktor\u00fdch s\u00fa umiestnen\u00e9 segmenty s \u00fadajmi jadra a modulov, je nastaven\u00fd re\u017eim iba na \u010d\u00edtanie a je zak\u00e1zan\u00e9 vykon\u00e1vanie k\u00f3du. Volite\u013ene je k dispoz\u00edcii mo\u017enos\u0165 zablokovania na\u010d\u00edtania modulov jadra po inicializ\u00e1cii syst\u00e9mu. Na filtr\u00e1ciu sie\u0165ov\u00fdch paketov sa vyu\u017e\u00edva n\u00e1stroj iptables. Po\u010das zostavovania s\u00fa predvolene povolen\u00e9 re\u017eimy ochrany proti prete\u010deniu z\u00e1sobn\u00edka, prete\u010deniam bufferov a probl\u00e9mom s form\u00e1tovan\u00edm re\u0165azcov (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). <\/p>\n